Was ist passiert?
Das PHP-Projekt hat am 21. Oktober gegen 16 Uhr deutscher Zeit außerplanmäßg Sicherheitsupdates für zwei hochkritische Sicherheitslücken veröffentlicht. Die Lücken mit der Kennung CVE-2026-109618 beziehungsweise CVE-2026-109619 sind unter dem Namen PHP2Shell bekannt. Mit einem Wert von 9.2 auf der mit 10 gehenden Kritikalitätsskala gehören die beiden Lücken zu den schwerwiegendsten, die es gibt. Internetnutzer können hier nichts ausrichten; die Betreiber angreifbarer Webserver haben hier jedoch unmittelbaren Handlungsbedarf.
Die Sicherheitslücken sind in den meisten großen Linux-Distributionen bereits behoben (siehe Liste). Webhoster und Seitenbetreiber müssen die Updates nur so schnell wie möglich einspielen.
Eigentlich hätten die Details zu den Sicherheitslücken erst heute (am 22. Oktober) veröffentlicht werden sollen. Da die Details jedoch bereits vorher durch ein Informationsleck an die Öffentlichkeit gelangt waren, hat das PHP Project die Veröffentlichung der Patches ebenfalls vorverlegt.
Was ist PHP überhaupt?
PHP ist - vereinfacht gesagt - eine Programmiersprache, die als Bindeglied zwischen einer Webseite und Systemen im Hintergrund fungiert. Fordert ein Nutzer eine Webseite an oder gibt dort Informationen ein, dann kommt PHP zum Einsatz, um die Informationen vom eigentlichen Webserver oder einer Datenbank abzurufen, und diese dann dem Nutzer auf der Webseite zur Verfügung zu stellen. Es kommt in velen bekannten Systemen zum Einsatz, vom Wordpress und Typo3 bis hin zu Joomla, Plesk und zahlreichen Webshop-Plattformen.
Wichtig dabei: Die Sicherheitslücke besteht in PHP selbst, und nicht in den oben genannten Systemen. Selbst, wer eine tagesaktuelle Version eines Systems wie WordPress installiert hat, ist potenzill angreifbar, wenn die darunter liegende PHP-Version nicht aktuell ist.
Die beschriebenen Sicherheitslücken ermöglichen es einem normalen Nutzer, Zugriff auf diese Hintergrundsysteme zu erhalten, ohne sich dafür authentifizieren zu müssen. Nicht nur erhält ein Angreifer Zugriff auf den Arbeitsspeicher des Servers, der Dinge wie API-Keys oder Passwörter enthalten kann. Damit wird ein Abgreifen von Daten möglich, sowie auch ein Plazieren von Schadsoftware.
Was bedeutet das für wen?
Privatnutzer: Wer Webseiten nur besucht, muss auf seinem eigenen Rechner oder Smartphone erst einmal nichts tun. PHP läuft auf dem Server, nicht im Browser. Vollständige Entwarnung wäre allerdings verfrüht. Wenn ein Onlineshop, ein Forum oder ein Vereinsportal kompromittiert wird, können dort hinterlegte Daten abfließen. Und: Wer selbst einen Blog oder eine kleine Website betreibt und das CMS dahinter selbst verwaltet, ist Betreiber - und sollte deshalb handeln.
Unternehmen: Für Firmen geht es um Webshops, Kundenportale, Intranets und Marketingseiten. Ein erfolgreicher Angriff kann zu Datenabfluss, manipulierten Seiten, eingeschleuster Schadsoftware oder einem Einstieg ins interne Netz führen. Hinzu kommen potenziell Meldepflichten nach DSGVO. Wer seine Webseite bei einem Hoster betreibt, sollte in Erfahrung bringen, ob die Updates eingespielt sind. Wer eigene Server oder Docker-Container betreibt, ist auch selbst verantwortlich. Übrigens kommt PHP auch in zahlreichen Appliances wie Router oder Firewalls, zum Einsatz, die über ein Browser-Frontend gesteuert und Konfiguriert werden. Auch hier sind Updates wichtig; diese werden in aller Regel vom Hersteller bereitsgestellt.
Behörden: Öffentliche Stellen betreiben viele PHP-basierte Portale, Bürgerdienste und Content-Management-Systeme. Das BSI hat eine Cybersicherheitswarnung der Stufe 3 von 4 (orange) herausgegeben, CERT-EU hat ein eigenes Advisory veröffentlicht. Beide raten, sofort zu patchen. Wo das nicht möglich ist, empfehlen sie zu erwägen, betroffene Systeme vorübergehend vom Internet zu trennen.
Welche Versionen sind betroffen, welche sind gepatcht?
- Betroffene PHP-Versionen: Alle ab Version 5.4 (php-fpm, php-cgi, FrankenPHP, LiteSpeed)
- Gepatchte PHP-Versionen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35
- Ältere PHP-Versionen: Keine Updates verfügbar, nur Backports
- Gepatchte Linux-Distributionen und Plattformen (Stand 22.10. gegen 13:00 Uhr):
- Debian 12 (DLA-4848-1)
- Debian 13 (DSA-6574-1)
- Debian unstable
- Ubuntu 14.04 bis 26.10 (USN-8948-1 / USN-8948-2)
- RHEL 8, 9 und 10 (php 8.4 unter RHEL 9 steht noch aus)
- Rocky Linux 8, 9 und 10
- SLES 15 SP7
- Alpine Linux edge & 3.24
- Plesk (Linux und Windows), cpanel, DirectAdmin, offizielles Docker-Image
Was Webseitenbetreiber jetzt tun sollten
- PHP-Pakete über das Control Panel, die jeweilige Distribution oder den zuständigen Hoster aktualisieren
- Nach Installation den Webserver neu starten
- Aktive PHP-Version über den Webserver verifizieren (ein einfaches php -v in der Shell reicht nicht!)
- Docker-Images neu bauen & neu starten
- Systeme, die mit PHP 8.1 oder älter laufen: entweder Upgrade auf gepatchte Version ODER das System isolieren und vom Netz trennen
- Logs auf Auffälligkeiten prüfen; vor allem neue php-Dateien, oder neue/unbekannte Admin-Konten oder Cronjobs (vor allem ab dem 20. Oktober!)
